Mikä on tekoälyn toimittajan riski?
Tekoälytoimittajan riski on organisaatiollesi aiheutuva riski, kun kolmas osapuoli toimittaa, isännöi, kouluttaa tai upottaa tekoälyominaisuuksia tuotteisiisi, prosesseihisi tai päätöksiisi. Se on laajempi kuin klassinen IT-toimittajan riski, koska tekoälytoimittaja ei ainoastaan käsittele tietojasi – hän voi muokata työntekijöiden ja asiakkaiden luottamia tuotoksia, ja käyttäytyminen muuttuu ajan myötä mallien uudelleenkoulutuksen ja päivityksen myötä.
Useimmissa organisaatioissa tekoälytoimittajat jakautuvat nykyään neljään päällekkäiseen luokkaan:
- Säätiömallien tarjoajat kuten OpenAI, Anthropic, Google, Mistral ja Cohere, joita käytetään API:n kautta ja jotka on upotettu sisäisiin työkaluihin, agentteihin tai asiakaskohtaisiin ominaisuuksiin.
- Tekoälyyn perustuvat SaaS-työkalut kuten muistiinpanojen tekijät, koodausavustajat, asiakastuen apupilotit, myynnin mahdollistamistyökalut ja analytiikka-alustat, joissa tekoäly on tuote.
- Upotettu tekoäly yritysohjelmistoissa kuten tekoälyyn perustuva yhteenveto CRM:ssä, tekoälyyn perustuva pisteytys HR-järjestelmissä, tekoälyyn perustuva tarkastelu sopimusten hallinnassa tai tekoälyyn perustuva triage palveluiden hallinnassa, joissa tekoäly on uusi ominaisuus olemassa olevassa toimittajasuhteessa.
- Datan merkitseminen ja datatoimittajien kouluttaminen jotka ovat kaiken rakentamasi mallin yläpuolella ja joilla on merkittävä vaikutus koulutuksen puolueellisuuteen, laatuun ja lailliseen perustaan.
Jokaiseen luokkaan liittyy erilaisia riskejä, mutta niillä on yhteinen ongelma: toimittaja kontrolloi toimintaa, josta olet vastuussa. Sääntelyviranomaiset, asiakkaat ja vakuutusyhtiöt odottavat yhä useammin sinun todistavan, että olet aktiivisesti arvioinut ja valvonut kyseistä toimintaa – etkä vain allekirjoittanut sopimusta ja siirtynyt eteenpäin.
Miksi tekoälytoimittajan riskistä on tullut johtokunnan keskustelunaihe?
Kolme voimaa on siirtänyt tekoälytoimittajien valvonnan hankintatehtävästä johtokunnan tason huolenaiheeksi.
Keskittynyt riippuvuus. Kourallinen perusmallien tarjoajia toimii nyt tuhansien tekoälyominaisuuksien alla lähes jokaisessa yritysympäristössä. Mallien käyttökatkokset, käytäntömuutokset, hinnoittelumuutokset ja maantieteelliset rajoitukset vaikuttavat välittömästi tuotteisiisi ja asiakaspolkuihisi. Tämä on keskittymäriski, jonka hallituksen on kannettava.
Epädeterministinen käyttäytyminen. Toisin kuin perinteinen SaaS-toimittaja, jonka ohjelmisto tekee tänään saman asian kuin eilen, tekoälytoimittaja voi muuttaa mallien painotuksia, järjestelmäkehotteita, turvasuodattimia ja harjoitusdataa ilman erillistä ilmoitusta. Testauksessa validoimasi tulos ei välttämättä ole se tulos, jonka asiakas näkee tuotannossa kuusi kuukautta myöhemmin.
Sääntelyvastuu. ISO 42001 -standardi EU:n tekoälylaki, alan sääntelyviranomaiset (FCA, PRA, NHS Digital, Ofcom) ja tietosuojaviranomaiset asettavat nyt kaikki nimenomaisia velvoitteita tekoälyjärjestelmän käyttöönottajalle, ei pelkästään rakentajalle. Toimittajaan osoittaminen ei ole enää puolustuskeino. Sinun on osoitettava, että olet valinnut sopivan toimittajan ja seurannut sitä.
Käytännön seuraus: tekoälytoimittajan riski kuuluu yritysriskirekisteriin, tarkastusvaliokunnan pakettiin ja AI-politiikka, ei haudattu hankintoihin.
Mitä ISO 42001 sanoo tekoälyyn perustuvasta toimittajien valvonnasta?
ISO 42001 käsittelee kolmansien osapuolten tekoälysuhteita suoraan liitteessä A.10, joka on yksi yhdeksästä liitteen A valvonta-alueesta. Valvonta-alue kattaa toimittajat, organisaatioiden välisen vastuunjaon ja asiakkaat, koska tekoälyn toimitusketjussa voit olla kaikkia kolmea samanaikaisesti – yhdelle osapuolelle toimittaja, toiselle käyttöönottaja ja kolmannelle asiakas.
Liite A.10 edellyttää seuraavaa:
- Luo prosessi tekoälytoimittajien ja heidän tarjoamiensa tekoälyjärjestelmien tunnistamiseksi
- Jaa vastuut sinun ja toimittajiesi välillä selkeästi ja kirjallisesti, jotta tekoälyn riskien, vaikutusten ja suorituskyvyn vastuullisuudessa ei ole aukkoja.
- Ota tekoälyyn liittyvät erityisnäkökohdat huomioon toimittajien valinnassa, sopimusten tekemisessä ja jatkuvassa hallinnassa, äläkä rajoitu vain yleisiin tietoturvatermeihin
- Varmista, että tekoälyjärjestelmiesi asiakkailla on tarvittavat tiedot niiden vastuulliseen käyttöön
Liite B (joka on normatiivinen, ei informatiivinen) tarjoaa toteutusohjeita kullekin liitteen A valvonnalle, mukaan lukien A.10. Liitteen A.10 lisäksi tekoälytoimittajien valvonta kattaa myös liitteen A.2 (tekoälyyn liittyvät käytännöt), A.3 (sisäinen organisaatio ja vastuut), A.5 (tekoälyjärjestelmien vaikutusten arviointi), A.7 (tekoälyjärjestelmien tiedot) ja A.8 (tiedot kiinnostuneille osapuolille). Katso koko kokoelma osoitteesta Liite A valvonta viite ja omistettu Liite A.10 Kolmannen osapuolen ja asiakkaan suhteet sivu.
Sinun Ilmoitus soveltuvuudesta sinun tulisi dokumentoida, miten sovellat kutakin näistä kontrolleista tekoälytoimittajasi omaan sisältöön, mukaan lukien mahdolliset poikkeukset ja niiden perustelut.
Kaikki mitä tarvitset ISO 42001:een
Strukturoitu sisältö, kartoitetut riskit ja sisäänrakennetut työnkulut auttavat sinua hallitsemaan tekoälyä vastuullisesti ja luottavaisesti.
Miten arvioit tekoälytoimittajaa?
Tekoälytoimittajan due diligence -tarkastuksen on mentävä turvallisuuskyselyä pidemmälle. Arvioit paitsi sitä, miten toimittaja suojaa tietojasi, myös sitä, miten he rakentavat, käyttävät, muuttavat ja poistavat käytöstä tekoälyjärjestelmän, johon olet riippuvainen. Alla oleva viitekehys kattaa yhdeksän aluetta, joita jokaisen tekoälytoimittajan arvioinnin tulisi käsitellä, sekä esimerkkejä esitettävistä kysymyksistä ja varoitusmerkeistä, jotka tulisi pysäyttää sopimus.
| alue | Kysymystä | punainen lippu |
|---|---|---|
| Datakoulutus | Millä datalla mallia koulutettiin? Käytettiinkö dataamme koulutukseen oletusarvoisesti? Voimmeko kieltää sen kirjallisesti? Mikä on koulutusdatan laillinen perusta (suostumus, oikeutettu etu, lisensointi)? | Myyjä ei voi kertoa sinulle koulutustietojen lähteitä, käyttää asiakastietoja koulutukseen oletusarvoisesti ilman kieltävää oikeutta tai luottaa kaapattuihin tietoihin ilman laillista perustetta puolustautua |
| Mallin läpinäkyvyys | Voitteko toimittaa mallikortin tai järjestelmäkortin? Mitkä ovat tunnetut rajoitukset ja vikaantumistilat? Miten malli versioidaan? Ilmoitetaanko meille mallinvaihdoista tai merkittävistä uudelleenkoulutuksista? | Ei mallidokumentaatiota, hiljaisia mallinvaihtoja, ei versiointia tai kieltäytymistä kuvaamasta mallia lainkaan (musta laatikko ilman varmuutta) |
| Turva-asento | Onko toimittajalla ISO 27001- ja SOC 2 -sertifioinnit? Miten asiakastiedot on eroteltu? Mitä salaus-, avaintenhallinta- ja käyttöoikeuskäytäntöjä käytetään päättelyliikenteeseen ja lokeihin liittyen? | Ei tunnustettua sertifiointia, jaettu vuokralainen ilman erottelua, kehotteet ja tulosteet kirjataan selkokielisenä loputtomiin tai ei kertakirjautumista ja monitunnistusta |
| Tietosuoja ja GDPR | Missä tietoja käsitellään ja säilytetään? Onko olemassa tietojenkäsittelysopimus? Onko olemassa riittävät siirtomekanismit kansainvälisille tietovirroille? Miten rekisteröityjen oikeuksia käsitellään syötteiden ja tulosteiden osalta? | Ei tietosuojasopimusta, siirrot Yhdistyneen kuningaskunnan ja ETA:n ulkopuolelle ilman suojatoimia, ei mekanismia rekisteröityjen tiedonsaanti- tai poistopyyntöjen tukemiseksi tai epäselvät kehotteiden säilytystavat |
| sertifioinnit | Onko teillä ISO 42001 -sertifikaatti? Onko teillä ISO 27001- ja SOC 2 Type II -sertifikaatit? Milloin viimeisimmät valvontatarkastukset tehtiin? Voimmeko nähdä sertifikaatit ja laajuuslausunnot? | Ei ISO 42001 -standardia (tai uskottavaa tiekarttaa sille), vanhentuneet sertifikaatit, laajuuslausunnot, jotka sulkevat pois ostamasi palvelun, tai vain itse tehty vahvistus |
| Tapahtumaan vastaaminen | Miten määrittelet tekoälytapauksen? Mikä on asiakkaille ilmoitettava palvelutasosopimuksenne? Miten käsittelette mallihallusinaatioita, haitallisia tulosteita, harhatilanteita ja tietoturvaloukkauksia? Voimmeko nähdä sensuroidun tapauksen jälkeisen raportin? | Ei tekoälykohtaista tapauksen määritelmää, yli 72 tuntia pidemmät ilmoitusikkunat, ei tapauksen jälkeistä raportointia tai kyvyttömyys näyttää aiemmin käsiteltyjä tapauksia alusta loppuun |
| Muutoksen hallinta | Miten hallitsette mallien painojen, järjestelmäkehotteiden, turvasuodattimien ja kaiteiden muutoksia? Saammeko ilmoituksen? Voimmeko pysyä kiinnitetyssä versiossa? Miten muutokset testataan ennen julkaisua? | Päivitykset ilman erillistä ilmoitusta, ilman version kiinnitysvaihtoehtoa, ilman julkaisua edeltävää testausta yritysliikenteessä tai ilman palautusmekanismia |
| Aliprosessorit | Keitä ovat alihankkijanne, mukaan lukien hosting, mallihosting, arviointi ja tietojen merkitseminen? Miten heidät hyväksytään ja auditoidaan? Ilmoitetaanko meille muutoksista? | Puutteellinen alikäsittelijöiden luettelo, läpinäkymätön alikäsittelijöiden käyttö, ei oikeutta vastustaa uusia alikäsittelijöitä tai alikäsittelijöiden käyttö vastakkaisissa lainkäyttöalueissa |
| Poistumissuunnitelma | Miten saamme tietomme takaisin? Kuinka kauan niitä säilytetään irtisanomisen jälkeen? Poistetaanko kehotteet, tulosteet ja hienosäätötiedot kokonaan? Onko mukautetuille määritys- tai arviointitiedoille olemassa siirtomuotoa? | Ei määriteltyä poistumispistettä, säilyvyys mitataan vuosina päivien sijaan, ei vientimuotoa tai lukitusta omien arviointitietojen kautta |
Pisteytä jokainen alue, painota tekoälyn käyttötapauksen riskin mukaan ja linkitä tulos toimittajarekisterisi toimittajatietoihin. Tavoitteena on puolustettava päätös, ei täydellinen pisteytys.
Mitä sopimusehtoja sinun tulisi vaatia tekoälytoimittajilta?
Tekoälytoimittajasopimusten on mentävä SaaS-standardien pidemmälle. Tietoturva-aikataulut ja tietojenkäsittelysopimukset käsittelevät datakerrosta, mutta tekoälyn toiminta, muutokset ja vastuuvelvollisuus tarvitsevat omat lausekkeensa. Alla oleva tarkistuslista on vähimmäisvaatimus, jota odotamme kaikilta olennaisilta tekoälytoimittajasopimuksilta:
- Oikeus tilintarkastukseen. Sopimuksellinen oikeus auditoida toimittaja tai luottaa riippumattomiin varmennusraportteihin (ISO 42001 -sertifikaatti, SOC 2 Type II, penetraatiotestien yhteenvedot) määritellyllä tahdilla, joka kattaa ostamasi tekoälyjärjestelmän.
- Mallinmuutosilmoitus. Kirjallinen ilmoitus mallien painojen, järjestelmäkehotteiden, turvasuodattimien tai kaiteiden olennaisista muutoksista määritellyllä ilmoitusajalla (yleensä 30–90 päivää yrityskäyttötapauksissa) ja version kiinnitysvaihtoehdolla säännellyille työkuormille.
- Datan käyttörajoitukset. Asiakkaan syötteiden, tulosteiden, hienosäätödatan tai metadatan käyttö toimittajan yleisten mallien kouluttamiseen ilman kirjallista suostumusta on nimenomaisesti kielletty, ja toimittaja sitoutuu tietojen erotteluun.
- Tulosteen tarkkuussitoumukset. Vakuutukset käyttötarkoituksesta, tunnetuista rajoituksista ja toimittajan julkaisemista tarkkuus- tai turvallisuusvertailuarvoista sekä oikeussuojakeinot, jos toimittaja poistaa dokumentoidut ominaisuudet.
- Tapahtumailmoitus. Määritelty tekoälytapahtumien ilmoituspalvelusopimus (tavoitteena 24–72 tuntia vakavuudesta riippuen), joka kattaa tietoturvaloukkaukset, virheelliset tietoturvaloukkaukset, haitalliset tulostapahtumat ja pitkittyneen palvelun heikkenemisen.
- Immateriaalioikeudet. Selkeä immateriaalioikeuksien kohdentaminen syötteissä, tuotoksissa ja mahdollisissa johdetuissa teoksissa sekä korvausvelvollisuus mallituloksista johtuvia kolmansien osapuolten immateriaalioikeuksia koskevia vaatimuksia vastaan.
- Vahingonkorvaus ja vastuu. Räätälöidyt korvaukset tietosuojaloukkauksista, mallitulosten immateriaalioikeusloukkauksista ja viranomaissakoista, kun toimittajan toiminta on välitön syy, ja vastuun ylärajat ovat oikeassa suhteessa tekoälyn käyttötapauksen riskiin.
- Poistuminen ja tietojen palautus. Määritelty poistumisprosessi taatuilla vientimuodoilla, poistosertifikaateilla ja jäännöstietojen enimmäissäilytysajalla irtisanomisen jälkeen (tyypillisesti 30–90 päivää).
- Alikäsittelijän ilmoitus. Luettelo nykyisistä sopimuksessa mainituista alihankkijoista, ennakkoilmoitus muutoksista ja oikeus vastustaa tietojen käsittelyä dokumentoitujen riskien perusteella.
- Sertifioinnin ylläpito. Sitoumus ylläpitää mainittuja sertifikaatteja (ISO 42001, ISO 27001, SOC 2) sopimuskauden ajan ja ilmoittaa, jos sertifikaatti vanhenee tai sen laajuus muuttuu.
Näiden lausekkeiden tulisi olla riskiporrastettuja. Asiakaslähtöisen päätöksentekoprosessin perustana toimivan toimittajan on taattava jokainen lauseke; matalan riskin sisäinen tuottavuustyökalu voi toimia kevyemmällä joukolla ja valvotuilla uusimisilla.
Miten tekoälytoimittajia seurataan sopimuksen jälkeen?
Perehdytyksen yhteydessä on tehtävä huolellinen tarkastus, mutta se ei riitä. Tekoälytoimittajien vaihtuessa tapahtuu muutoksia, ja niin muuttuu myös niiden käyttö. Jatkuvassa seurannassa on yhdistettävä aikataulutettuja uudelleenarviointeja tapahtumapohjaisiin käynnistimiin.
Aikataulutetut toiminnot, jotka tulisi sisällyttää tekoälytoimittajan valvontakalenteriin:
- Vuosittainen uudelleentarkastelu korkean riskin toimittajille, joka toinen vuosi keskitason riskin toimittajille, kattaen samat yhdeksän osa-aluetta kuin käyttöönotto ja delta-arviointi
- Toimittajamallin, alihankkijan ja käytäntömuutoslokien neljännesvuosittainen tarkistus suhteessa kiinnitettyyn lähtötasoon
- Toimittajan ISO 42001-, ISO 27001- ja SOC 2 -sertifikaattien ja laajuuslausuntojen vuosittainen tarkistus
- Toimittajien julkaisemien vaaratilanne- ja läpinäkyvyysraporttien (jos saatavilla) tarkistus jokaisessa johdon arviointijaksossa
- Tarkista toimittajaosio uudelleen Ilmoitus soveltuvuudesta aina kun toimittajan laajuus olennaisesti muuttuu
Tapahtumalähtöiset laukaisevat tekijät, joiden tulisi edellyttää välitöntä uudelleenarviointia:
- Toimittaja ilmoittaa sinulle olennaisesta mallimuutoksesta, alihankkijan vaihtumisesta tai käytäntömuutoksesta
- Myyjään kohdistuu julkisesti ilmoitettu turvallisuus-, suojaus- tai puolueellisuushäiriö
- Toimittaja menettää, muuttaa luotetun sertifioinnin laajuutta tai jättää sen uusimatta.
- Muutat tekoälyn käyttötapausta (esimerkiksi siirtämällä sisäisen työkalun asiakaslähtöiseen työnkulkuun tai EU:n tekoälylain mukaiseen korkean riskin kontekstiin)
- Uusi asetus, toimialakohtainen ohjeistus tai täytäntöönpanotoimenpide muuttaa olennaisesti velvoitteitasi käyttöönottajana
Jokaisen valvontatoimenpiteen tulisi tuottaa näyttöä, joka liittyy toimittajan tietoihin, asiaankuuluviin liitteen A kontrolleihin ja tekoälyriskirekisterimerkintöihin, joihin toimittaja osallistuu. Näin toimittajan valvonta muutetaan hankintarituaalista auditoitavaksi hallinnoksi.
Aloita helposti henkilökohtaisella tuote-esittelyllä
Yksi perehdytysasiantuntijoistamme opastaa sinua alustamme läpi ja auttaa sinua alkuun luottavaisin mielin.
Miten EU:n tekoälylaki muuttaa tekoälytoimittajien velvoitteita?
EU:n tekoälylaki luo jäsennellyn joukon velvoitteita, jotka kulkevat tekoälyn toimitusketjussa. Jos olet korkean riskin tekoälyjärjestelmän käyttöönottaja tai palveluntarjoaja, joka upottaa kolmannen osapuolen mallin, toimittajavalinnoistasi tulee vaatimustenmukaisuusvalintoja.
Keskeiset vaikutukset tekoälytoimittajien valvontaan loppupäässä:
- Toimittajan velvoitteet ulottuvat toimittajillesi. Yleiskäyttöisten tekoälymallien (GPAI) tarjoajilla on omat velvoitteensa teknisen dokumentaation, harjoitusdatan yhteenvetojen, tekijänoikeuskäytännön ja (systeemisten riskimallien osalta) kilpailutestauksen, tapausraportoinnin ja kyberturvallisuuden suhteen. Sinun tulisi pyytää perusmallien tarjoajia osoittamaan, miten he täyttävät nämä velvoitteet.
- Käyttöönottajan velvoitteet saavuttavat sinut. Jos käytät korkean riskin tekoälyjärjestelmää, sinulla on velvollisuuksia ihmisen suorittaman valvonnan, lokien säilytyksen, seurannan, tapausten raportoinnin ja (monissa tapauksissa) perusoikeusvaikutusten arvioinnin suhteen. Näiden velvoitteiden täyttäminen edellyttää toimittajalta saatuja tietoja, joista on tehtävä sopimus.
- Tiedonkulku ketjussa alaspäin. Palveluntarjoajien on annettava käyttöönottajille heidän velvoitteidensa täyttämiseksi tarvittavat tekniset asiakirjat ja käyttöohjeet. Asianmukaisen huolellisuuden tarkastuksessa on varmistettava, että tämä materiaali todella on olemassa kaikkien hankkimiesi korkean riskin tekoälykomponenttien osalta.
- Merkittävän muutoksen riski. Jos hienosäädät, paketoit tai muutat yleiskäyttöisen mallin käyttötarkoitusta niin paljon, että se tekee siitä merkittävän muutoksen, sinusta voi tulla itsenäinen toimittaja – ja siihen liittyy vaatimustenmukaisuuden arviointitaakka. Toimittajasopimuksissa on tehtävä selväksi, mitkä muutokset ovat sallittuja ja mitkä eivät, ja mitä takuita niihin liittyy.
- Kielletyt käytännöt. Tietyt tekoälyn käyttötarkoitukset (sosiaalinen pisteytys, kohdentamaton kasvojen raapiminen, tunteiden päättely työpaikalla ja koulutuksessa ja muut) ovat kiellettyjä. Tekoälykäytäntösi ja toimittajan arviointisi on seulottava käyttötapaukset näitä kieltoja vasten ennen sopimuksen tekemistä, ei sen jälkeen.
ISO 42001 ja EU:n tekoälylaki täydentävät toisiaan. Standardi antaa hallintajärjestelmän tukirakenteet; laki määrittelee tukirakenteiden lakisääteiset velvoitteet. Hyvin hoidettu toimittajan valvontaprosessi palvelee molempia.
Miten ISMS.online suorittaa tekoälyyn perustuvaa toimittajan riskienhallintaa
ISMS.online antaa tekoälytoimittajien valvonnalle jäsennellyn kodin laajemmassa tekoälynhallintajärjestelmässäsi. Sen sijaan, että toimittajatiedot olisivat hajallaan hankintalomakkeissa, turvallisuuskyselyissä, lakiasiakirjoissa ja vaatimustenmukaisuuden seurantaohjelmissa, alusta yhdistää elinkaaren yhteen yhdistettyyn työtilaan:
- Toimittajarekisteri, jossa on tekoälyyn liittyviä kenttiä. Jokaisella tekoälytoimittajalla on tietue, joka sisältää toimittajan tyypin (perusmalli, tekoälyn SaaS, sulautettu tekoäly, datan merkinnät), käyttötapaukset, riskitason, sertifioinnit, alihankkijat ja asiaankuuluvat liitteen A mukaiset valvontalinkit.
- AI due diligence -kyselylomakkeet. Valmiiksi rakennetut mallit, jotka kattavat yhdeksän arviointialuetta, ja sisältävät pisteytyksen, kuittauksen ja toimittajan tietueisiin liitetyt tallennetut todisteet.
- Sopimusten ja lausekkeiden seuranta. Keskeiset tekoälylausekkeet (tarkastusoikeus, mallinmuutosilmoitus, datan käyttö, tapahtuman palvelutasosopimus, poistuminen) seurataan kenttinä toimittajan tiedoissa, jotta voit raportoida tekoälyomaisuudestasi yhdellä silmäyksellä.
- Jatkuvat seurantatyönkulut. Aikataulutetut uudelleenarvioinnit, sertifikaattien vanhenemisilmoitukset, muutoslokien tarkistukset ja triggereihin perustuvat uudelleenarvioinnit, kaikki linkitettynä toimittajatietoihin ja tekoälyn riskirekisteriin.
- Yhdistettyjen tekoälyyn liittyvien riskien ja vaikutusten arvioinnit. Toimittajamerkinnät kytkeytyvät suoraan tekoälyriskirekisterimerkintöihin (kohta 6.1.2) ja tekoälyjärjestelmän vaikutustenarviointeihin (kohta 6.1.4), joten toimittajariskiä käsitellään osana tekoälyn kokonaisriskikuvaa, ei rinnakkaisuniversumina.
- Tarkastusevidenssi valvontatasolla. Jokainen arviointi, tarkastelu ja uudelleenarviointi tuottaa näyttöä, joka liittyy sen tukemaan liitteen A mukaiseen valvontaan ja on valmis valvontatarkastuksia varten.
Käytännön tulos: kun tilintarkastaja kysyy, miten täytät tekoälyn toimitusketjusi liitteen A.10 vaatimukset, vastaus on yksi yksityiskohtainen tarkastelu – toimittaja, arviointi, sopimus, seurantahistoria, todisteet – ei viikko kuvakaappauksia ja laskentataulukoita.
Miksi valita ISMS.online tekoälytoimittajariskien hallintaan?
ISMS.online on rakennettu tekoälyn hallintaa varten alusta loppuun, joten toimittajan valvonta on ensiluokkainen osa alustaa eikä vain ruuvikiinnitys. Saat seuraavat ominaisuudet:
- Tekoälykohtainen toimittajarekisteri. Tarkoitukseen rakennetut kentät tekoälytoimittajan tyypille, käyttötapauksille, riskitasolle, sertifioinneille, alihankkijoille ja malliversioille, ei yleistä toimittajaluetteloa, joka on kopioitu IT-resurssityökalusta.
- Valmiiksi rakennetut tekoälyn due diligence -mallit. Kyselylomakkeet on mukautettu ISO 42001 -standardin liitteen A.10 ja liitteen B ohjeistuksen sekä EU:n tekoälylain mukaisten velvoitteiden mukaisesti, jotta tiimit aloittavat standardien mukaisesta lähtötasosta sen sijaan, että he kirjoittaisivat kysymykset tyhjästä.
- Integroitu tekoälyn riskirekisteriin. Toimittajariski liittyy suoraan tekoälyriskeihin (kohta 6.1.2) ja tekoälyjärjestelmän vaikutustenarviointeihin (kohta 6.1.4), ja pisteytys-, käsittely- ja arviointisyklit ovat yhdessä paikassa.
- Elää Ilmoitus soveltuvuudesta. Toimittajaosio pysyy ajan tasalla toimittajien, kontrollien ja perustelujen muuttuessa, eikä se tallennu Word-dokumenttiin.
- Jatkuva valvonta sisäänrakennettuna. Aikataulutetut uudelleenarvioinnit, sertifikaattien vanhenemisilmoitukset ja tapahtumien käynnistämät tarkistukset pitävät toimittajan valvonnan aktiivisena koko sopimuksen elinkaaren ajan.
- Usean standardin uudelleenkäyttö. Toimittajatiedot jaetaan ISO 42001 -standardin ja olemassa olevien ISO-hallintajärjestelmien toimittajakontrollien välillä, joten käytät yhtä toimittajaohjelmaa, etkä useaa. Päällekkäisyyden osalta katso ISO 42001 vs ISO 27001.
- Taattujen tulosten menetelmä. Todistettu käyttöönottotapa, käyttöönottotuki ja reaaliaikainen tuki, jotta tekoälytoimittajan valvonta on käynnissä viikoissa, ei neljännesvuosissa.
Aloitatpa sitten tyhjästä tai päivität olemassa olevaa kolmannen osapuolen riskienhallintaohjelmaa tekoälykohtaisten standardien mukaiseksi, ISMS.online tarjoaa työkalut tekoälyyn liittyvien toimittajariskien hallintaan ISO 42001 -standardin ja EU:n tekoälylain mukaisesti. Katso täydellinen käyttöönottokonteksti toteutusopastai pää takaisin ISO 42001 -keskukseen.
Oletko valmis näkemään alustan toiminnassa? Varaa demo.
UKK
Mitä on tekoälyllä toimivan toimittajan riskienhallinta?
Tekoälytoimittajien riskienhallinta on prosessi, jossa tunnistetaan, arvioidaan, tehdään sopimuksia ja seurataan tekoälyominaisuuksia organisaatiollesi toimittavia kolmansia osapuolia. Se kattaa perusmallien tarjoajat, tekoälyn natiivit SaaS-työkalut, yritysohjelmistoihin upotetut tekoälyominaisuudet sekä datan merkitsemisen tai koulutusdatan toimittajat. Se laajentaa klassista kolmannen osapuolen riskiä tekoälykohtaisilla näkökohdilla, kuten koulutusdatalla, mallin läpinäkyvyydellä, epädeterministisellä käyttäytymisellä sekä mallin painotusten ja järjestelmäkehotteiden muutosten hallinnalla.
Edellyttääkö ISO 42001 -standardi tekoälytoimittajien arviointeja?
Kyllä. ISO 42001 -standardin liite A.10 käsittelee suoraan kolmansien osapuolten ja asiakkaiden suhteita ja edellyttää organisaatioilta tekoälytoimittajien tunnistamista, vastuiden jakamista ja tekoälyyn liittyvien näkökohtien hallintaa toimittajan elinkaaren ajan. Liite B (normatiivinen) tarjoaa käyttöönotto-ohjeita. Sinun ISMS.online Soveltuvuuslausunnon tulee dokumentoida, miten sovellat näitä kontrolleja tekoälytoimittajasi omaisuuteen, ja perustella mahdolliset poikkeukset.
Mitkä ovat suurimmat varoitusmerkit tekoälytoimittajan arvioinnissa?
Yleisimpiä häiriötekijöitä ovat: asiakasdatalla tapahtuva koulutus oletusarvoisesti ilman kieltäytymismahdollisuutta, ei mallidokumentaatiota tai versionhallintaa, ei tunnustettuja sertifiointeja (ISO 42001, ISO 27001, SOC 2) tai vanhentuneet sertifioinnit, ei tekoälykohtaista reagointia tai ilmoituspalvelutasosopimusta, hiljaiset mallimuutokset ilman erillistä ilmoitusta, läpinäkymättömät alikäsittelijäjärjestelyt ja ei määriteltyä poistumisprosessia. Minkä tahansa näistä tulisi käynnistää riskinarviointipäätös johtotasolla ennen sopimuksen allekirjoittamista.
Kuinka usein meidän tulisi arvioida tekoälytoimittajia uudelleen?
Vuosittainen uudelleenarviointi on kohtuullinen lähtökohta korkean riskin tekoälytoimittajille, kahden vuoden välein tehtävä arviointi keskitason riskin toimittajille ja kevyempi seuranta matalan riskin toimittajille. Aikataulun lisäksi tapahtumien – materiaalisen mallin tai alihankkijan muutos, julkisesti ilmoitettu poikkeama, sertifioinnin menetys, käyttötapauksen muutos, uusi sääntely – tulisi pakottaa välittömään uudelleenarviointiin kalenterista riippumatta.
Vaikuttaako EU:n tekoälylaki tekoälytoimittajien sopimuksiimme?
Kyllä. EU:n tekoälylaki asettaa velvoitteita tekoälyjärjestelmien toimittajille, käyttöönottajille ja maahantuojille, ja tiedon on kuljettava ketjussa alaspäin, jotta nämä velvoitteet täyttyvät. Sopimuksissa perusmallien tarjoajien ja tekoälytoimittajien kanssa tulisi edellyttää teknistä dokumentaatiota, käyttöohjeita, avoimuustietoja ja häiriöilmoituksia, joita tarvitaan käyttöönottajan tai toimittajan velvoitteiden täyttämiseen. Yleiskäyttöisen mallin hienosäätö tai olennainen muokkaaminen voi myös muuttaa käyttöönottajan palveluntarjoajaksi, mikä on otettava huomioon sopimuksessa.
Riittääkö ISO 27001 -sertifioitu toimittaja tekoälyn käyttötapauksiin?
Ei. ISO 27001 kattaa tietoturvallisuuden hallinnan ja on vahva lähtökohta, mutta se ei käsittele tekoälyyn liittyviä erityisriskejä, kuten koulutusdatan alkuperää, mallin läpinäkyvyyttä, vaikutusta asianomaisiin henkilöihin, vinoumaa tai mallin muutosten hallintaa. Olennaisten tekoälyn käyttötapausten osalta kannattaa etsiä myös ISO 42001 -standardia (tai uskottavaa tiekarttaa sitä kohti), SOC 2 Type II -standardia, joka kattaa kyseisen tekoälypalvelun, sekä sopimuksessa olevia nimenomaisia tekoälylausekkeita, jotka menevät tietoturvaehtoja pidemmälle.
Voiko ISMS.online hallita tekoälyllä toimittajariskiä yleisen toimittajariskin ohella?
Kyllä. ISMS.online on monia standardeja käyttävä alusta, joten tekoälytoimittajat ovat samassa toimittajarekisterissä kuin laajemmat kolmannet osapuolesi, ja tekoälykohtaiset kentät, due diligence -mallit ja valvontaprosessit ovat kerroksittain päällä. Tämä tarkoittaa yhtä toimittajaohjelmaa, yhtä todistusaineistoa ja yhtä auditointiketjua – joka kattaa ISO 42001 -standardin liitteen A.10 ja olemassa olevien hallintajärjestelmien toimittajakontrollit yhdessä näkymässä.
